生成AIガイドラインの作り方｜中小企業向け・A4で1枚のひな形つき

「生成AIを会社で使わせたいが、ルールがない」「ガイドラインを作れと言われたが、何を書けばよいか分からない」。中小企業のAI活用は、多くの場合ここで止まります。

結論から言うと、中小企業の生成AIガイドラインは、最初はA4で1枚あれば十分です。決めることは「使ってよいAI」「入れてよい情報」「人が確かめること」「相談先」「見直しの時期」の5つ。国や業界団体のガイドラインは数十ページありますが、それをそのまま社内に配っても読まれません。

この記事では、企業のAI活用と人材育成を支援しているスキルティ代表の中塚が、ガイドラインの作り方を5つの手順で解説し、そのまま使えるひな形を載せます。参考にした公的な資料は、2026年11月12日時点で確認したものです。

なぜガイドラインが必要か

ルールがない会社では、2つのことが同時に起きます。

• 慎重な社員は使わない：「使ってよいのか分からない」ので、手を出しません。会社の生産性は上がりません。
• 積極的な社員は黙って使う：個人のアカウントで、会社の資料をAIに入れます。会社は気づけません。

エルテスが2026年1月に発表した調査（会社員・公務員300人）では、勤務先に生成AIの利用規程が「ない」と答えた人が45%で最も多く、規程がない職場ほど、許可のないAIの利用（シャドーAI）が多い傾向が出ています。ガイドラインは「禁止するため」ではなく、「安心して使ってもらうため」に作るものです。

参考にできる公的なガイドライン

ゼロから考える必要はありません。次の資料が公開されています。

使い分けの目安は、考え方は国のガイドライン、文面はJDLAのひな形、個人情報は個人情報保護委員会です。ただし、どれも大企業を含む広い読み手に向けて書かれています。中小企業は、ここから自社に必要な所だけを抜き出して、短くまとめるのが現実的です。

作り方：5つの手順

1. 目的を1行で書く

最初に「何のためのルールか」を書きます。「生成AIを安全に使い、仕事の時間を減らすため」のように、使うことを前提にした目的にします。「リスクを防ぐため」だけだと、社員には「使うな」と読めてしまいます。

2. 使ってよいAIとアカウントを決める

「会社が契約したアカウントだけを使う」と決めます。個人のアカウントは、入力した内容がAIの学習に使われるかどうかが本人の設定しだいで、退職したときに会話の記録を会社で消せません。法人向けのプラン（ClaudeのTeamプランなど）は、初期設定で学習に使われず、管理者がアカウントを止められます。プランの選び方は「Claudeの法人導入ガイド」で解説しています。

3. 入れてよい情報を3段階に分ける

ガイドラインの中心です。「機密情報は入力禁止」とだけ書くと、何が機密か分からず、社員は使えません。具体的な例で3段階に分けます。

顧客や社員の個人情報は、利用目的の範囲内であることと、AIの学習に使われないことを確かめたうえで扱います。個人情報保護委員会は、本人の同意なく入力した個人データが回答以外の目的に使われると、法律に違反するおそれがあるとしています。

4. 人が確かめること・相談先を決める

AIは、もっともらしい誤りを書くことがあります。次の2つを決めておきます。

• 社外に出すものは、送る前に必ず人が読む。数字・固有名詞・日付は、元の資料と照らす。
• 迷ったときの相談先（推進役）を、名前で書く。「迷ったら、入れる前に聞く」と添える。

AIに仕事をまとめて任せる使い方（AIエージェント）をする場合は、「送る・払う・消す」のような取り返しのつかない操作は、人が承認してから行う、と書き足します。国のガイドラインの第1.2版でも、権限を適切に設定することと、人の判断をはさむことが大切だとされています。

5. 見直しの時期を決めて、配る

AIのサービスは数か月で変わります。「3か月ごとに見直す」と書いておけば、最初から完璧を目指さなくて済みます。配るときは、メールで送るだけでなく、10分でよいので口頭で説明すると、使い始める人が増えます。

そのまま使えるひな形（A4で1枚）

○○の所を自社に合わせて書き換えて使ってください。

【生成AI 利用ガイドライン（第1版）】　　制定：20XX年X月X日

1. 目的
   生成AIを安全に使い、仕事の時間を減らし、仕事の質を上げる。
   最終的な判断と、社外への説明は人が行う。

2. 使ってよいAIとアカウント
   会社が契約した ○○（例：Claude Teamプラン）だけを使う。
   個人のアカウント・無料のAIサービスで、会社の情報を扱わない。

3. 入れてよい情報
   ○ 入れてよい　：公開済みの情報、社内の一般的な資料、
   　　　　　　　　個人を特定しない数字
   △ 条件つき　　：顧客名の入った資料、見積書、契約書、社員の評価
   　　　　　　　　（会社のアカウントに限る。出来上がりを人が確かめる）
   × 入れない　　：パスワード、マイナンバー、口座番号、
   　　　　　　　　契約で外に出せないと決められた情報

4. 使い方
   下書き・要約・整理・調べもの・表づくりに使う。
   社外に出すもの（メール・資料・ウェブ）は、送る前に必ず人が読む。
   数字・固有名詞・日付は、元の資料と照らし合わせる。
   AIが作った文章や画像を、他人の著作物に似ていないか確かめずに
   社外で使わない。

5. AIに操作を任せるとき
   送る・払う・消す・公開する操作は、人が承認してから行う。

6. 困ったとき
   推進役（○○さん）に相談する。迷ったら、入れる前に聞く。
   誤って入れてはいけない情報を入れたときは、すぐに推進役に伝える。
   責めない。早く分かることを優先する。

7. 見直し
   3か月ごとに見直す。次回：20XX年X月

よくある失敗

• 分厚い規程を作る：20ページの規程は読まれません。1枚にまとめ、くわしい説明は別紙にします。
• 「禁止」ばかり並べる：使ってよいことが書かれていないと、誰も使いません。「○ 入れてよい」を先に書きます。
• 作って配って終わり：説明の場と、相談先がないルールは守られません。
• 道具を用意しない：「個人アカウントは禁止」と書いても、会社のアカウントがなければ、隠れて使われます。ルールと道具は同時に用意します。
• 見直さない：1年前のルールは、今のAIに合いません。

ガイドラインは「AIを雇う」ための就業規則

人を雇うときは、就業規則があり、仕事の範囲があり、相談する上司がいます。AIも同じです。ガイドラインは、AIを会社の戦力として迎えるための、最初の就業規則にあたります。

ただし、規則だけでは人は育たないように、ルールだけではAIは働きません。任せる仕事を決め、手順書を渡し、出来上がりを確かめる。その進め方を、私は『Claudeを雇えば、利益が跳ねる。』にまとめました。ガイドラインを作ったあと、「では何を任せるか」に進む方に読んでいただきたい本です。

よくある質問（FAQ）

Q. 生成AIガイドラインには、何を書けばよいですか？

最低限、5つです。使ってよいAIとアカウント、入れてよい情報、人が確かめること、相談先、見直しの時期。中小企業なら、最初はA4で1枚にまとめれば始められます。

Q. 参考になる公的なガイドラインはありますか？

総務省・経済産業省の「AI事業者ガイドライン」（第1.2版・2026年3月）、日本ディープラーニング協会（JDLA）の「生成AIの利用ガイドライン」、個人情報保護委員会の注意喚起などがあります。JDLAのものは、社内ルールのひな形として使えます。

Q. 生成AIに入力してはいけない情報は何ですか？

パスワード、マイナンバー、口座番号、取引先との契約で外に出せないと決められた情報は、どのAIにも入れません。顧客名の入った資料などは、学習に使われない会社のアカウントに限って扱います。

Q. ガイドラインは、誰が作るのがよいですか？

経営者か、経営者に近い立場の人が方針を決め、現場でAIを使っている社員が具体例を足すのがよい形です。情報システムの担当だけで作ると、禁止が多くなりがちです。

Q. どのくらいの頻度で見直せばよいですか？

3か月ごとがおすすめです。AIのサービスは数か月で機能や料金が変わるため、1年に1回では間に合いません。

Q. 生成AIの利用を全面禁止にするのはだめですか？

おすすめしません。個人のスマホでの利用は止められず、禁止すると社員は使っていることを隠すようになります。安全に使える入口を会社が用意する方が、結果として情報漏洩の危険は下がります。

あわせて読みたい

• シャドーAIとは？中小企業が今日からできる対策5つ
• Claudeは安全？学習させない設定と情報漏洩の対策
• Claudeの法人導入ガイド｜Team・Enterpriseの料金と進め方
• AXマネージャーとは？AI推進者を社内で育てる5段階
• AIエージェントのマネジメントとは？

参考（2026年11月12日に確認）：AI事業者ガイドライン第1.2版の解説（PwC Japan）／資料室（日本ディープラーニング協会）／テキスト生成AIの導入・運用ガイドライン（IPA）／生成AIサービスの利用に関する注意喚起等について（個人情報保護委員会）／生成AI利用者の約2割が「シャドーAI」リスクに該当（＠IT・エルテス調査）